网络协议分析期末复习专题(二)

期末重点
1.过滤器:区分显示过滤器和捕获过滤器;表达式写监听端口和报文.
2.嗅探:通过集线器，交换机或其他设备进行嗅探;以及嗅探器的位置;网卡可以进行嗅探的原因(混杂模式).
3.网络协议分析:IP头,TCP报文结构,各种网络协议报头域功能,ARP,IP,ICMP,三次握手四次挥手,DNS,HTTP.
4.实验报文的分析:查看实验报告进行分析.
网络嗅探
定义:网络嗅探是指利用计算机的网络接口截获其他计算机的数据报文的一种手段.
嗅探原理:通常在一个网段的所有网络接口都可以访问在网络媒体上传输的所有数据，而每一个网络接口都有一个唯一的硬件地址，这个硬件地址就是网卡的MAC地址，大多数系统使用48比特的地址，这个地址用来表示网络中的每一个设备，一般来说每一块网卡的MAC地址都是不同的，每个网卡厂家得到一段地址，然后用这段地址分配给其生产的每个网卡一个地址.在硬件地址和IP地址间使用ARP和RARP协议进行相互转换.
在正常情况下，一个网络接口应该只响应以下两种数据帧:
1.与自己硬件地址相匹配的数据帧
2.发现所有机器的广播数据帧
在一个实际的系统中，数据的收发是由网卡来完成的，网卡接收到传输来的数据，网卡内的单片程序接受数据帧的目的MAC地址，根据计算机上的网卡驱动程序设置的接受模式判断该不该接收，认为该接收就接收后产生中断信号通知CPU，认为不该接收就丢掉不管，所以不该接收的数据网卡就阶段了，计算机根本